Двухфакторная аутентификация: SMS, приложение или ключ
Пароль можно подсмотреть, выманить на поддельной странице или найти в утёкшей базе. Второй фактор делает так, что одного пароля для входа недостаточно. Способов несколько, и они заметно различаются по надёжности.
Три способа и их слабые места
| Способ | Как работает | Слабое место |
|---|---|---|
| Код из SMS | Сервис присылает шесть цифр на номер | Номер можно перехватить через перевыпуск SIM-карты или переадресацию, код можно выманить обманом. Сообщения приходят не всегда и не везде |
| Приложение (TOTP) | Телефон считает шестизначный код из общего секрета и времени, код меняется каждые 30 секунд, интернет не нужен | Код можно ввести на поддельной странице, и злоумышленник тут же использует его. Потеря телефона без копии секрета |
| Ключ безопасности и passkey | Устройство подтверждает вход криптографически и привязано к настоящему адресу сайта (стандарты FIDO2 и WebAuthn) | Не везде поддерживается. Ключ можно потерять, поэтому нужен запасной |
Порядок по надёжности такой: ключ, затем приложение, затем SMS. Но SMS всё равно намного лучше, чем отсутствие второго фактора, поэтому не откладывайте включение, если ничего другого сервис не предлагает.
Где включать в первую очередь
- Основная почта. Через неё сбрасываются пароли от всего остального. Взломанная почта означает взломанные аккаунты.
- Менеджер паролей. Он хранит всё остальное.
- Облачное хранилище с документами и фотографиями.
- Банк и платёжные сервисы. У многих банков своё подтверждение входа и операций, настройте его строже, чем по умолчанию.
- Мессенджеры и соцсети. Угнанный аккаунт мессенджера обычно используют, чтобы просить деньги у ваших знакомых.
- Домен и хостинг, если они у вас есть.
Как настроить приложение-аутентификатор
Подойдёт любое приложение со стандартом TOTP. Среди свободных популярны Aegis (Android) и 2FAS; KeePassXC тоже умеет хранить коды TOTP, а многие менеджеры паролей считают их у себя. Порядок один:
- В настройках безопасности сервиса выберите «приложение-аутентификатор».
- Отсканируйте QR-код или введите секретный ключ вручную.
- Введите первый код из приложения, чтобы подтвердить настройку.
- Сразу сохраните резервные коды, которые покажет сервис.
Потеря телефона
Это главный риск второго фактора, и к нему надо подготовиться заранее. Распечатайте резервные коды или сохраните их в менеджере паролей. Выбирайте приложение, которое умеет делать зашифрованную копию записей, и храните эту копию вместе с остальными резервными копиями. Для самых важных аккаунтов зарегистрируйте два ключа безопасности: основной носите с собой, запасной держите дома.
Если хранить коды TOTP в том же менеджере, где лежат пароли, удобно, но второй фактор перестаёт быть независимым: кто получит доступ к менеджеру, получит оба. Для почты и самого менеджера лучше отдельное приложение или ключ.
Passkey
Passkey заменяет пароль парой ключей: закрытый остаётся на вашем устройстве или в менеджере, на сайт уходит только подтверждение. Вход выполняется отпечатком, лицом или PIN-кодом устройства. Подделка сайта не получит ничего, потому что подтверждение привязано к настоящему адресу. Если сервис предлагает создать passkey, обычно стоит согласиться, только заранее выясните, где он хранится и как переносится на новое устройство.
Фишинг и усталость от запросов
Злоумышленники научились обходить слабые виды подтверждения. Если вам на телефон пришёл запрос на вход, который вы не инициировали, не нажимайте «подтвердить» только затем, чтобы он перестал приходить. Это сигнал, что чужой человек уже знает ваш пароль: нажмите «отклонить» и смените пароль. Никому не диктуйте коды из SMS, даже тем, кто представляется поддержкой банка или оператора: настоящие сотрудники кодов не спрашивают.
Если не получилось войти
Без резервных кодов восстановление доступа проходит через поддержку сервиса и может занять недели. Поэтому проверьте на тестовом входе, что код из приложения подходит, и что резервные коды лежат там, где вы их найдёте через год.